远程 Windows 主机上安装的 Firefox 版本低于 133.0。因此，受到 mfsa2024-63 公告中提及的多个漏洞影响。

  - Apple silicon M 系列设备上的某些 WebGL 操作可导致越界写入和内存损坏，这是因为 Apple 的 GPU 驱动程序中的缺陷所致。此缺陷仅影响 Apple M 系列硬件上的应用程序。其他平台不受影响。(CVE-2024-11691)

  - 恶意网站可能已经通过 tapjacking 来执行用户意向确认。这可能导致用户在不知情的情况下批准启动外部应用程序，从而可能将其暴露于潜在漏洞。(CVE-2024-11700)

  - 攻击者可造成选择的下拉菜单显示在另一个选项卡上；这可能导致用户混淆，并且可能遭受欺骗攻击。(CVE-2024-11692)

  - 尝试中断的导航期间，地址栏中可能显示不正确的域。
    这有可能导致用户混淆或出现潜在的欺骗攻击。(CVE-2024-11701)

  - 从 Android 上的“隐私浏览”选项卡复制敏感信息（例如密码）时，可能会在云端剪贴板历史记录（如果启用）中无意间存储数据。(CVE-2024-11702)

  - 下载 .library-ms 文件时未显示可执行文件警告。注意：此问题仅影响 Windows 操作系统。其他操作系统不受影响。(CVE-2024-11693)

  - 增强跟踪保护的严格模式可能无意间通过 Web 兼容性扩展中的 Google SafeFrame shim 允许 CSP “frame-src”绕过和基于 DOM 的 XSS。此问题可使用户暴露于伪装成合法内容的恶意框架。 (CVE-2024-11694)

  - 包含阿拉伯脚本和空白字符的特制 URL 可能隐藏页面的真正来源，导致潜在的欺骗攻击。(CVE-2024-11695)

  - 在 Android 上，Firefox 可能无意中允许在没有必要的设备 PIN 认证的情况下查看已保存的密码。(CVE-2024-11703)

  - 应用程序未考虑附加组件签名验证期间“loadManifestFromFile”方法抛出的异常。此缺陷由无效或不受支持的扩展清单触发，可能造成中断签名验证过程的运行时错误。因此，可能绕过不相关的附加组件的签名验证强制执行。此上下文中的签名验证用于确保用户计算机上的第三方应用程序未篡改用户的扩展，从而限制此问题的影响。(CVE-2024-11696)

  - 处理按键事件时，攻击者可能已经诱骗用户绕过 Open Executable File?确认对话框。这可能导致恶意代码执行。(CVE-2024-11697)

  - 处理错误路径时，`secpkcs7decoderstartdecrypt()` 中可能发生双重释放问题。
    在特定情况下，相同的对称密钥可被释放两次，从而可能导致内存损坏。 (CVE-2024-11704)

  - 在转换期间打开模式对话框时，处理全屏转换中的一个缺陷可能无意间造成应用程序卡在全屏模式。该问题导致用户无法使用标准操作（例如按 Esc 或访问右键菜单）退出全屏模式，从而导致浏览体验中断，直到浏览器重新启动。此缺陷仅影响在 macOS 上运行的应用程序。其他操作系统不受影响。(CVE-2024-11698)

  - <code>NSCDeriveKey</code> 无意间假设 <code>phKey</code> 参数始终为 non-NULL。
    将其作为 NULL 传递时发生分段错误 (SEGV)，进而导致崩溃。此行为与 PKCS#11 v3.0 规范冲突，v3.0 规范允许 <code>phKey</code> 对于某些机制为 NULL。(CVE-2024-11705)

  - 处理畸形或格式不正确的输入文件时，`pk12util` 可能无意间发生空指针取消引用缺陷，尤其是在 <code>SECASN1DecodeItemUtil</code> 函数中。
    (CVE-2024-11706)

  - 缺少线程同步原语，可导致 PlaybackParams 结构成员上发生数据争用。 (CVE-2024-11708)

  - 在 Firefox 132、Firefox ESR 128.4 和 Thunderbird 128.4 中修复了内存安全缺陷。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2024-11699)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Windows 主机上安装的 Thunderbird 版本低于 133.0。因此，受到 mfsa2024-67 公告中提及的多个漏洞影响。

  - Apple silicon M 系列设备上的某些 WebGL 操作可导致越界写入和内存损坏，这是因为 Apple 的 GPU 驱动程序中的缺陷所致。此缺陷仅影响 Apple M 系列硬件上的应用程序。其他平台不受影响。(CVE-2024-11691)

  - 恶意网站可能已经通过 tapjacking 来执行用户意向确认。这可能导致用户在不知情的情况下批准启动外部应用程序，从而可能将其暴露于潜在漏洞。(CVE-2024-11700)

  - 攻击者可造成选择的下拉菜单显示在另一个选项卡上；这可能导致用户混淆，并且可能遭受欺骗攻击。(CVE-2024-11692)

  - 尝试中断的导航期间，地址栏中可能显示不正确的域。
    这有可能导致用户混淆或出现潜在的欺骗攻击。(CVE-2024-11701)

  - 从 Android 上的“隐私浏览”选项卡复制敏感信息（例如密码）时，可能会在云端剪贴板历史记录（如果启用）中无意间存储数据。(CVE-2024-11702)

  - 下载 .library-ms 文件时未显示可执行文件警告。注意：此问题仅影响 Windows 操作系统。其他操作系统不受影响。(CVE-2024-11693)

  - 增强跟踪保护的严格模式可能无意间通过 Web 兼容性扩展中的 Google SafeFrame shim 允许 CSP “frame-src”绕过和基于 DOM 的 XSS。此问题可使用户暴露于伪装成合法内容的恶意框架。 (CVE-2024-11694)

  - 包含阿拉伯脚本和空白字符的特制 URL 可能隐藏页面的真正来源，导致潜在的欺骗攻击。(CVE-2024-11695)

  - 应用程序未考虑附加组件签名验证期间“loadManifestFromFile”方法抛出的异常。此缺陷由无效或不受支持的扩展清单触发，可能造成中断签名验证过程的运行时错误。因此，可能绕过不相关的附加组件的签名验证强制执行。此上下文中的签名验证用于确保用户计算机上的第三方应用程序未篡改用户的扩展，从而限制此问题的影响。(CVE-2024-11696)

  - 处理按键事件时，攻击者可能已经诱骗用户绕过 Open Executable File?确认对话框。这可能导致恶意代码执行。(CVE-2024-11697)

  - 处理错误路径时，`secpkcs7decoderstartdecrypt()` 中可能发生双重释放问题。
    在特定情况下，相同的对称密钥可被释放两次，从而可能导致内存损坏。 (CVE-2024-11704)

  - 在转换期间打开模式对话框时，处理全屏转换中的一个缺陷可能无意间造成应用程序卡在全屏模式。该问题导致用户无法使用标准操作（例如按 Esc 或访问右键菜单）退出全屏模式，从而导致浏览体验中断，直到浏览器重新启动。此缺陷仅影响在 macOS 上运行的应用程序。其他操作系统不受影响。(CVE-2024-11698)

  - <code>NSCDeriveKey</code> 无意间假设 <code>phKey</code> 参数始终为 non-NULL。
    将其作为 NULL 传递时发生分段错误 (SEGV)，进而导致崩溃。此行为与 PKCS#11 v3.0 规范冲突，v3.0 规范允许 <code>phKey</code> 对于某些机制为 NULL。(CVE-2024-11705)

  - 处理畸形或格式不正确的输入文件时，`pk12util` 可能无意间发生空指针取消引用缺陷，尤其是在 <code>SECASN1DecodeItemUtil</code> 函数中。
    (CVE-2024-11706)

  - 缺少线程同步原语，可导致 PlaybackParams 结构成员上发生数据争用。 (CVE-2024-11708)

  - 在 Firefox 132、Thunderbird 132、Firefox ESR 128.4 和 Thunderbird 128.4 中修复了内存安全缺陷。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2024-11699)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 macOS 或 Mac OS X 主机上安装的 Thunderbird 版本低于 133.0。因此，受到 mfsa2024-67 公告中提及的多个漏洞影响。

  - Apple silicon M 系列设备上的某些 WebGL 操作可导致越界写入和内存损坏，这是因为 Apple 的 GPU 驱动程序中的缺陷所致。此缺陷仅影响 Apple M 系列硬件上的应用程序。其他平台不受影响。(CVE-2024-11691)

  - 恶意网站可能已经通过 tapjacking 来执行用户意向确认。这可能导致用户在不知情的情况下批准启动外部应用程序，从而可能将其暴露于潜在漏洞。(CVE-2024-11700)

  - 攻击者可造成选择的下拉菜单显示在另一个选项卡上；这可能导致用户混淆，并且可能遭受欺骗攻击。(CVE-2024-11692)

  - 尝试中断的导航期间，地址栏中可能显示不正确的域。
    这有可能导致用户混淆或出现潜在的欺骗攻击。(CVE-2024-11701)

  - 从 Android 上的“隐私浏览”选项卡复制敏感信息（例如密码）时，可能会在云端剪贴板历史记录（如果启用）中无意间存储数据。(CVE-2024-11702)

  - 下载 .library-ms 文件时未显示可执行文件警告。注意：此问题仅影响 Windows 操作系统。其他操作系统不受影响。(CVE-2024-11693)

  - 增强跟踪保护的严格模式可能无意间通过 Web 兼容性扩展中的 Google SafeFrame shim 允许 CSP “frame-src”绕过和基于 DOM 的 XSS。此问题可使用户暴露于伪装成合法内容的恶意框架。 (CVE-2024-11694)

  - 包含阿拉伯脚本和空白字符的特制 URL 可能隐藏页面的真正来源，导致潜在的欺骗攻击。(CVE-2024-11695)

  - 应用程序未考虑附加组件签名验证期间“loadManifestFromFile”方法抛出的异常。此缺陷由无效或不受支持的扩展清单触发，可能造成中断签名验证过程的运行时错误。因此，可能绕过不相关的附加组件的签名验证强制执行。此上下文中的签名验证用于确保 用户计算机上的第三方应用程序未篡改 用户的扩展，从而限制此问题的影响。(CVE-2024-11696)

  - 处理按键事件时，攻击者可能已经诱骗用户绕过 Open Executable File?确认对话框。这可能导致恶意代码执行。(CVE-2024-11697)

  - 处理错误路径时，`secpkcs7decoderstartdecrypt()` 中可能发生双重释放问题。
    在特定情况下，相同的对称密钥可被释放两次，从而可能导致内存损坏。 (CVE-2024-11704)

  - 在转换期间打开模式对话框时，处理全屏转换中的一个缺陷可能无意间造成应用程序卡在全屏模式。该问题导致用户无法使用标准操作（例如按 Esc 或访问右键菜单）退出全屏模式，从而导致浏览体验中断，直到浏览器重新启动。此缺陷仅影响在 macOS 上运行的应用程序。其他操作系统不受影响。(CVE-2024-11698)

  - <code>NSCDeriveKey</code> 无意间假设 <code>phKey</code> 参数始终为 non-NULL。
    将其作为 NULL 传递时发生分段错误 (SEGV)，进而导致崩溃。此行为与 PKCS#11 v3.0 规范冲突，v3.0 规范允许 <code>phKey</code> 对于某些机制为 NULL。(CVE-2024-11705)

  - 处理畸形或格式不正确的输入文件时，`pk12util` 可能无意间发生空指针取消引用缺陷，尤其是在 <code>SECASN1DecodeItemUtil</code> 函数中。
    (CVE-2024-11706)

  - 缺少线程同步原语，可导致 PlaybackParams 结构成员上发生数据争用。 (CVE-2024-11708)

  - 在 Firefox 132、Thunderbird 132、Firefox ESR 128.4 和 Thunderbird 128.4 中修复了内存安全缺陷。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2024-11699)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 macOS 或 Mac OS X 主机上安装的 Mozilla Firefox 版本低于 133.0。因此，受到 mfsa2024-63 公告中提及的多个漏洞影响。

  - Apple silicon M 系列设备上的某些 WebGL 操作可导致越界写入和内存损坏，这是因为 Apple 的 GPU 驱动程序中的缺陷所致。此缺陷仅影响 Apple M 系列硬件上的应用程序。其他平台不受影响。(CVE-2024-11691)

  - 恶意网站可能已经通过 tapjacking 来执行用户意向确认。这可能导致用户在不知情的情况下批准启动外部应用程序，从而可能将其暴露于潜在漏洞。(CVE-2024-11700)

  - 攻击者可造成选择的下拉菜单显示在另一个选项卡上；这可能导致用户混淆，并且可能遭受欺骗攻击。(CVE-2024-11692)

  - 尝试中断的导航期间，地址栏中可能显示不正确的域。
    这有可能导致用户混淆或出现潜在的欺骗攻击。(CVE-2024-11701)

  - 从 Android 上的“隐私浏览”选项卡复制敏感信息（例如密码）时，可能会在云端剪贴板历史记录（如果启用）中无意间存储数据。(CVE-2024-11702)

  - 下载 .library-ms 文件时未显示可执行文件警告。注意：此问题仅影响 Windows 操作系统。其他操作系统不受影响。(CVE-2024-11693)

  - 增强跟踪保护的严格模式可能无意间通过 Web 兼容性扩展中的 Google SafeFrame shim 允许 CSP “frame-src”绕过和基于 DOM 的 XSS。此问题可使用户暴露于伪装成合法内容的恶意框架。 (CVE-2024-11694)

  - 包含阿拉伯脚本和空白字符的特制 URL 可能隐藏页面的真正来源，导致潜在的欺骗攻击。(CVE-2024-11695)

  - 在 Android 上，Firefox 可能无意中允许在没有必要的设备 PIN 认证的情况下查看已保存的密码。(CVE-2024-11703)

  - 应用程序未考虑附加组件签名验证期间“loadManifestFromFile”方法抛出的异常。此缺陷由无效或不受支持的扩展清单触发，可能造成中断签名验证过程的运行时错误。因此，可能绕过不相关的附加组件的签名验证强制执行。此上下文中的签名验证用于确保 用户计算机上的第三方应用程序未篡改 用户的扩展，从而限制此问题的影响。(CVE-2024-11696)

  - 处理按键事件时，攻击者可能已经诱骗用户绕过 Open Executable File?确认对话框。这可能导致恶意代码执行。(CVE-2024-11697)

  - 处理错误路径时，`secpkcs7decoderstartdecrypt()` 中可能发生双重释放问题。
    在特定情况下，相同的对称密钥可被释放两次，从而可能导致内存损坏。 (CVE-2024-11704)

  - 在转换期间打开模式对话框时，处理全屏转换中的一个缺陷可能无意间造成应用程序卡在全屏模式。该问题导致用户无法使用标准操作（例如按 Esc 或访问右键菜单）退出全屏模式，从而导致浏览体验中断，直到浏览器重新启动。此缺陷仅影响在 macOS 上运行的应用程序。其他操作系统不受影响。(CVE-2024-11698)

  - <code>NSCDeriveKey</code> 无意间假设 <code>phKey</code> 参数始终为 non-NULL。
    将其作为 NULL 传递时发生分段错误 (SEGV)，进而导致崩溃。此行为与 PKCS#11 v3.0 规范冲突，v3.0 规范允许 <code>phKey</code> 对于某些机制为 NULL。(CVE-2024-11705)

  - 处理畸形或格式不正确的输入文件时，`pk12util` 可能无意间发生空指针取消引用缺陷，尤其是在 <code>SECASN1DecodeItemUtil</code> 函数中。
    (CVE-2024-11706)

  - 缺少线程同步原语，可导致 PlaybackParams 结构成员上发生数据争用。 (CVE-2024-11708)

  - 在 Firefox 132、Firefox ESR 128.4 和 Thunderbird 128.4 中修复了内存安全缺陷。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2024-11699)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
211872	Mozilla Firefox < 133.0	Nessus	Windows	2024/11/26	2025/3/6	critical
211868	Mozilla Thunderbird < 133.0	Nessus	Windows	2024/11/26	2024/12/2	critical
211869	Mozilla Thunderbird < 133.0	Nessus	MacOS X Local Security Checks	2024/11/26	2024/12/2	critical
211873	Mozilla Firefox < 133.0	Nessus	MacOS X Local Security Checks	2024/11/26	2025/3/6	critical

检测

插件搜索

critical

critical

critical

critical